17 - 02 - 19 计算机网络（40）（访问控制）

 

访问控制：

访问控制涉及到使用系统的权限。访问控制一般可以分为：自主访问控制、强制访问控制、基于角色的访问控制。基于任务的访问控制和和使用控制。

1、自主访问控制（Discretionary Access Control，DAC）：

在自主访问控制下，用户（资源的所有者）可以按自己的意愿，有选择地与其他用户共享他的文件。

2、强制访问控制(Mandatory Access Control(MAC))

通过无法回避的访问限制来阻止直接或间接地非法入侵。

强制访问控制，用于将系统中的信息分密级和类进行管理，以保证每个用户只能访问到那些被标明可以访问的信息的。通俗的来说，在强制访问控制下，用户（或其他主体）与文件（或其他客体）都被标记了固定的安全属性（如安全级、访问权限等），在每次访问发生时，系统检测安全属性以便确定一个用户是否有访问规则

保密性规则

1）仅当主体的许可证级别高于或者等于客体的密级时，该主体才能读取相应的客体。（下读）

2）仅当主体的许可证级别低于或者等于客体的密级时，该主体才能写相应的客体。（上写）

完整性规则

1）仅当主体的许可证级别低于或者等于客体的密级时，该主体才能读取相应的客体。（上读）

2）仅当主体的许可证级别高于或者等于客体的密级时，该主体才能写相应的客体。（下写）权访问该文件。其中多级安全（MultiLevel Secure, MLS）就是一种强制访问控制策略。

3、基于角色的访问控制 (Role Based Access Control) ：

是实施面向企业(组织等大宗用户群)安全策略的一种有效的访问控制方式。其基本思想是，对系统操作的各种权限不是直接授予具体的用户，而是在用户集合与权限集合之间建立一个角色集合。每一种角色对应一组相应的权限。一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限。这样做的好处是，不必在每次创建用户时都进行分配权限的操作，只要分配用户相应的角色即可，而且角色的权限变更比用户的权限变更要少得多，这样将简化用户的权限管理，减少系统的开销。

——————————————————————————————————————整理自《计算机网络》/百度百科